Online-Terminbuchung für die Arztpraxis DSGVO-konform einführen

Warum Termindaten schon Gesundheitsdaten sind

Viele Praxen behandeln den Terminkalender wie eine Adressliste. Datenschutzrechtlich ist er mehr. Schon die Tatsache, dass eine Person am Donnerstag einen Termin in einer kardiologischen, psychotherapeutischen oder orthopädischen Praxis hat, verrät etwas über ihre Gesundheit. Damit fallen Termindaten unter Art. 9 DSGVO, also unter die besonderen Kategorien personenbezogener Daten, für die strengere Regeln gelten als für eine Kundendatei im Einzelhandel.

Dazu kommt die Schweigepflicht. Ärztinnen, Zahnärzte, Physiotherapeuten und Podologinnen sind Berufsgeheimnisträger nach § 203 StGB. Wer externe Dienstleister einbindet, also auch den Anbieter einer Terminbuchung oder die Agentur, die sie baut, darf ihnen Patientengeheimnisse nur offenlegen, soweit das für deren Arbeit nötig ist, und muss sie zur Geheimhaltung verpflichten. Das ist kein Formular für die Schublade: Versäumt ihr die Verpflichtung, kann das strafrechtlich auf euch zurückfallen.

Trotzdem ist Online-Terminbuchung erlaubt und mit vernünftiger Planung gut umsetzbar. Die Datenschutzkonferenz, also das Gremium der deutschen Datenschutzaufsichtsbehörden, hat am 16. Juni 2025 ein Positionspapier zur Terminverwaltung in Heilberufspraxen veröffentlicht. Es ist der beste Leitfaden, den es derzeit gibt, und die folgenden Abschnitte orientieren sich daran.

Welche Daten ihr beim Buchen abfragen dürft

Der wichtigste Grundsatz heißt Datensparsamkeit. Wenn ihr einen Dienstleister als Auftragsverarbeiter einsetzt, soll die Buchung nach dem Papier der Datenschutzkonferenz nur das umfassen, was für die Terminvergabe nötig ist: Name, Geburtsdatum, behandelnde Person, Art des Termins und eine Kontaktmöglichkeit für kurzfristige Absagen. Eine pauschale Übermittlung aller Stammdaten ist nicht vorgesehen.

In der Praxis heißt das: Ein Freitextfeld "Beschreiben Sie Ihre Beschwerden" als Pflichtfeld ist keine gute Idee. Patienten schreiben dort erfahrungsgemäß alles hinein, und ihr habt sensible Daten in einem System, das dafür nicht gedacht ist. Besser sind klar benannte Terminarten, aus denen sich die Dauer und der passende Behandler ergeben, etwa Erstgespräch, Kontrolle oder Behandlungsserie.

Wollt ihr mehr wissen, etwa für eine Anamnese vor dem ersten Besuch, trennt das sauber von der Buchung. Der Anamnesebogen gehört zur Behandlung, nicht zum Kalender. Er kommt als eigener Schritt nach der Bestätigung, mit eigener Information, wofür ihr die Angaben braucht und wo sie landen. Wie ihr die Rechtsgrundlage dafür festhaltet, klärt ihr am besten mit eurem Datenschutzbeauftragten.

• Pflichtfelder beim Buchen: nur, was für den Termin nötig ist
• Terminarten statt Freitext für Beschwerden
• Weitere Stammdaten und Anamnese als eigener Schritt nach der Buchung
• Versicherungsart, wo nötig, als Auswahl statt als Kartenfoto

Erinnerungen, Einwilligung und der zweite Weg

Terminerinnerungen per SMS oder E-Mail sind einer der Hauptgründe, überhaupt eine Online-Lösung einzuführen. Nach Auffassung der Datenschutzkonferenz gehören sie aber nicht automatisch zum Behandlungszweck. Ihr braucht dafür eine ausdrückliche Einwilligung, und ihr müsst sie nachweisen können. Technisch heißt das: ein eigenes, nicht vorangekreuztes Kästchen bei der Buchung, und das System speichert, wann und wofür zugestimmt wurde. Wer später widerruft, bekommt keine Nachricht mehr.

Die Erinnerung soll außerdem genau das sein, eine Erinnerung. Werbung für Selbstzahlerleistungen oder ein Newsletter haben in derselben Nachricht nichts zu suchen. Haltet die Texte knapp: Datum, Uhrzeit, Praxis, Link zum Absagen. Je weniger Gesundheitsbezug in einer SMS steht, desto besser, denn sie erscheint womöglich auf einem gesperrten Bildschirm.

Ein Punkt, der gern übersehen wird: Die Online-Buchung sollte nicht der einzige Weg sein. Laut dem Papier der Datenschutzkonferenz sollte es immer eine Alternative geben, etwa telefonisch oder vor Ort. Nicht jede Patientin hat ein Smartphone oder möchte ihre Daten online eingeben. Für euch bedeutet das: Telefonisch vergebene Termine gehören in denselben Kalender, damit es keine zwei getrennten Welten gibt.

Löschfristen: Was in den Kalender gehört und was in die Akte

Die Behandlungsdokumentation müsst ihr nach § 630f BGB in der Regel zehn Jahre nach Abschluss der Behandlung aufbewahren. Der Terminkalender ist aber nicht die Patientenakte. Die Datenschutzkonferenz geht davon aus, dass Termindaten in einem externen Buchungssystem kurz nach dem Termin gelöscht werden, weil sie nicht zur Behandlungsdokumentation gehören.

Für eine Online-Lösung heißt das: Legt fest, nach wie vielen Tagen oder Wochen ein Termin samt Kontaktangaben aus dem Buchungssystem verschwindet, und lasst das automatisch laufen. Was dauerhaft gebraucht wird, also die geprüften Stammdaten und der ausgefüllte Anamnesebogen, wandert vorher in euer Praxisverwaltungssystem. Dort gelten dann die Aufbewahrungsfristen für die Akte. Termine, die sich über Jahre im Buchungssystem stapeln, sind dagegen ein unnötiges Risiko.

Cloud, Server und Verträge: was ihr euch zeigen lassen solltet

Fast jede Online-Terminbuchung läuft auf einem Server im Internet. Für Praxen, die mit den gesetzlichen Krankenkassen abrechnen, regelt § 393 SGB V seit Juli 2024, unter welchen Bedingungen Gesundheitsdaten in der Cloud verarbeitet werden dürfen. Die Verarbeitung muss in Deutschland, in der EU oder in einem gleichgestellten Staat mit Angemessenheitsbeschluss stattfinden, die datenverarbeitende Stelle braucht eine Niederlassung in Deutschland, und sie muss ein aktuelles C5-Testat nach dem Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik vorweisen. Seit Juli 2025 ist dafür grundsätzlich ein Testat vom Typ 2 gefordert, für neu eingeführte Systeme gilt eine Übergangszeit.

Fragt euren Anbieter deshalb konkret, wo die Daten liegen, wer das Rechenzentrum betreibt und wessen C5-Testat vorliegt: das des Rechenzentrums oder das des Softwareanbieters selbst. Ob bei einer Software, die im Netz als Dienst läuft, das Testat des Rechenzentrums allein genügt, ist unter Fachleuten umstritten. Eine allgemeine Aussage wie "DSGVO-konform" auf der Website reicht nicht. Dazu gehören ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Liste der Unterauftragnehmer, die schriftliche Verpflichtung auf die Schweigepflicht und eine Beschreibung der technischen Maßnahmen: Verschlüsselung, Trennung der Daten verschiedener Praxen, Rollen und Rechte, Protokollierung.

Bei großen Buchungsplattformen gibt es eine zusätzliche Frage. Legen Patienten dort ein eigenes Konto an, ist der Plattformbetreiber für diese Konten nach Einschätzung der Datenschutzkonferenz selbst verantwortlich, und je nach Gestaltung kann eine gemeinsame Verantwortlichkeit mit der Praxis entstehen. Klärt vorher, wer wofür zuständig ist, und informiert eure Patienten nach Art. 13 DSGVO verständlich darüber, mit wem sie es zu tun haben.

Plattform, Standard-Tool oder eigene Lösung?

Es gibt drei grundsätzliche Wege, und jeder hat seine Berechtigung. Eine große Plattform ist schnell eingerichtet und bringt Sichtbarkeit, kostet aber laufend, trägt das Erscheinungsbild des Anbieters, und die Patientenkonten liegen dort. Ein Standard-Kalender-Tool ist günstig im Einstieg, kennt aber euer Praxisverwaltungssystem meist nicht, sodass am Empfang weiter abgetippt wird. Eine eigene Lösung braucht am Anfang mehr Abstimmung, passt dafür genau zu euren Abläufen, sitzt auf eurer Website und speichert die Daten nur in eurem Auftrag.

Woran ihr die Entscheidung festmachen könnt, ist weniger die Technik als euer Alltag. Wie viele Anrufe drehen sich um Termine? Wie oft wird abgetippt? Habt ihr Sonderfälle, die ein Standardkalender nicht kann, etwa Behandlungsserien, Hausbesuche, Gerätezeiten oder mehrere Standorte? Und wie wichtig ist euch, die Daten und den Code selbst in der Hand zu haben?

• Bindung: Könnt ihr jederzeit wechseln und eure Daten mitnehmen?
• Anbindung: Kommen die Daten ins PVS, oder tippt ihr weiter ab?
• Erscheinungsbild: Bucht der Patient bei euch oder bei einem Dritten?
• Sonderfälle: Bildet das System eure echten Terminarten ab?
• Support: Wer hilft, wenn am Wochenende die Buchung hakt?
• Geschwindigkeit: Lädt die Buchung auf einem älteren Handy schnell?

Checkliste für die Einführung

Bevor die Online-Terminbuchung live geht, lohnt sich ein Durchgang mit dem ganzen Team und eurem Datenschutzbeauftragten. Diese Punkte solltet ihr abhaken können:

• Terminarten mit Dauer, Behandler und Online-Freigabe festgelegt
• Pflichtfelder auf das Nötige beschränkt, kein Freitext für Beschwerden
• Anamnese als eigener Schritt mit eigener Information
• Einwilligung für Erinnerungen separat, nachweisbar und widerrufbar
• Telefon und Empfang bleiben als zweiter Weg, alles in einem Kalender
• Löschfrist für Termindaten festgelegt und automatisiert
• Auftragsverarbeitungsvertrag und Verpflichtung nach § 203 StGB unterschrieben
• Serverstandort, Rechenzentrum und C5-Testat schriftlich bestätigt, oder Betrieb auf einem Server in der Praxis
• Datenschutzerklärung auf der Website und Verzeichnis der Verarbeitungstätigkeiten ergänzt
• Rollen und Rechte im Team vergeben, Zugänge mit sicherem Login
• Ablauf für Übergabe ins PVS getestet, mit echten Testfällen